---
title: "D.lgs. 51/2018: che cosa deve dire il registro di un sistema di IA usato dalla polizia"
description: "Il decreto che attua la direttiva (UE) 2016/680 sostituisce il GDPR per la polizia giudiziaria. L’articolo 21 impone di registrare motivi, data e ora di ogni operazione; l’articolo 4 impone di distinguere, prima di ogni trasmissione, i fatti dalle valutazioni."
url: https://csidia.com/note-operative/registro-operazioni-polizia-motivi-se-possibile/
lang: it
date: 2026-08-28
label: "Normativa"
publisher: CSIDIA S.r.l. (https://csidia.com/)
english: https://csidia.com/en/notes/registro-operazioni-polizia-motivi-se-possibile/
---

# D.lgs. 51/2018: che cosa deve dire il registro di un sistema di IA usato dalla polizia

Una piattaforma di analisi lavora da mesi sui fascicoli di un ufficio investigativo: incrocia un gestionale, un archivio di atti, il punteggio di rilevanza che un modello assegna a ogni nominativo. Poi arriva la domanda che conta: chi sa dire chi ha aperto quel fascicolo, quando, e perché? Il sistema di indagine registra un nome utente, il dominio di autenticazione un orario. Nessuno dei due, da solo, registra il motivo — ed è quello che la legge chiede di poter ricostruire.

La legge non è il GDPR. È il decreto legislativo 18 maggio 2018, n. 51, il regime che si applica **al posto** del regolamento (UE) 2016/679 a chi tratta dati per fini di polizia e giustizia penale — [già richiamato di sfuggita](https://csidia.com/note-operative/analisi-probabilistica-articolo-158-diritti-limitati) a proposito del rischio fiscale. Qui lo leggiamo sul testo vigente al 28 agosto 2026.

## Il regime che sostituisce il GDPR

Il decreto attua la direttiva (UE) 2016/680. L’articolo 1, comma 2, ne fissa il perimetro: si applica ai trattamenti svolti dalle «autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati, o esecuzione di sanzioni penali». Il comma 3 esclude la sicurezza nazionale. Non è un di più rispetto al GDPR: è un binario diverso.

Due definizioni dell’articolo 2 contano quanto un capitolato. Il **titolare del trattamento** è, per legge, «l’autorità competente che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali» (lett. h): un ruolo pubblico, non del fornitore. Chi tratta dati per suo conto è **responsabile del trattamento** (lett. i), mai titolare. La lettera q) dice che cos’è un log: «registro degli accessi e delle operazioni».

## Articolo 21: il registro, e il suo limite scritto

Il comma 1 elenca le operazioni da registrare: «raccolta, modifica, consultazione, comunicazione, trasferimento, interconnessione e cancellazione di dati, eseguite in sistemi di trattamento automatizzati, sono registrate in appositi file di log». Sette operazioni: un sistema che traccia gli accessi ma non le interconnessioni soddisfa solo una parte del comma.

Il comma 2 dice che cosa deve contenere ogni registrazione: «Le registrazioni delle operazioni di cui al comma 1 debbono consentire di conoscere i motivi, la data e l’ora di tali operazioni e, se possibile, di identificare la persona che ha eseguito le operazioni e i destinatari.» Tre elementi non hanno condizioni — motivi, data, ora. Due sono legati a un «se possibile» che la norma non definisce altrove: chi decide che cosa è possibile è chi progetta il sistema, prima che qualcuno lo interroghi. Un’architettura che registra l’operatore fin dall’inizio non deve mai invocare quella clausola.

Il comma 3 limita l’uso di quelle registrazioni ai «soli fini della verifica della liceità del trattamento, per finalità di controllo interno, per garantire l’integrità e la sicurezza dei dati personali e nell’ambito di procedimenti penali». Il comma 4 le mette a disposizione del Garante su richiesta.

E c’è una cosa che l’articolo 21 non dice più. L’articolo 72, comma 2, lettera c), della legge 2 dicembre 2025, n. 182 ha soppresso dal comma 1 le parole «da conservare per la durata stabilita con il decreto di cui all’articolo 5, comma 2», e la lettera a) ha abrogato il comma a cui quel rinvio puntava. Nel testo in vigore dal 18 dicembre 2025 il registro resta obbligatorio, ma per quanto tempo vada conservato il decreto non lo scrive più: è una durata che oggi deve fissare, e motivare, chi scrive il capitolato.

## Articolo 4: un punteggio è una valutazione, non un fatto

L’articolo 4 impone due cose prima che un dato lasci il sistema che lo ha prodotto. La prima: il titolare «distingue i dati personali in relazione alle diverse categorie di interessati previste dalla legge e i dati fondati su fatti da quelli fondati su valutazioni». Le categorie, la norma le elenca per nome: «persone sottoposte a indagine; imputati; persone sottoposte a indagine o imputate in procedimento connesso o collegato; persone condannate con sentenza definitiva; persone offese dal reato; parti civili; persone informate sui fatti; testimoni».

È qui che l’intelligenza artificiale entra nel decreto senza esservi nominata: un punteggio di rischio è per costruzione una *valutazione*, non un fatto, e l’articolo 4 chiede che resti etichettato come tale. La seconda: la verifica prima della trasmissione. L’autorità «verifica la qualità dei dati personali prima che questi siano trasmessi o resi disponibili e correda la loro trasmissione delle informazioni che consentono all’autorità ricevente di valutarne il grado di esattezza, completezza, aggiornamento e affidabilità» (comma 2).

## Articolo 8, in breve

Il decreto ha un proprio divieto di decisione interamente automatizzata: «Sono vietate le decisioni basate unicamente su un trattamento automatizzato, compresa la profilazione, che producono effetti negativi nei confronti dell’interessato, salvo che siano autorizzate dal diritto dell’Unione europea o da specifiche disposizioni di legge» (comma 1); in ogni caso «è garantito il diritto di ottenere l’intervento umano da parte del titolare del trattamento» (comma 2). Per un sistema che assiste, non sostituisce, un investigatore, l’articolo 8 descrive come deve già funzionare.

## Dove sta oggi ogni prova

La difficoltà dell’articolo 21 non è scriverlo in un capitolato: è che la prova sta spezzata fra sistemi che non si parlano.

Il **sistema di indagine** sa chi ha aperto un fascicolo, non necessariamente perché. Il **gestionale locale** conosce l’anagrafica e la categoria dell’interessato, non chi l’ha consultata altrove. Il **dominio di autenticazione** registra un login con orario, non lo scopo. Il **gateway di accesso remoto** sa da dove e quando, non a quale fascicolo. L’**audit dello strumento di analisi**, quando esiste, registra interrogazioni e output, spesso senza un campo *motivo* strutturato. Il **registro cartaceo delle autorizzazioni**, dove sopravvive, è a volte l’unico posto dove il motivo è scritto per esteso — e non parla con gli altri cinque.

Nessuno di questi, da solo, produce ciò che chiede il comma 2: motivo, data, ora, persona, destinatari, per ognuna delle sette operazioni. Serve un livello che li correli, o il motivo catturato al momento della query — non ricostruito dopo, incrociando log senza formato né chiave comuni.

## Capitolato e collaudo

In capitolato: per ciascuna delle sette operazioni dell’articolo 21, un campo motivo obbligatorio e non discrezionale; per ogni output di un modello, un’etichetta di valutazione, mai di fatto, con i quattro metadati di qualità dell’articolo 4; la qualifica corretta delle parti: fornitore responsabile del trattamento, mai titolare; l’esportabilità delle registrazioni su richiesta del Garante (art. 21, comma 4).

In collaudo: consultazione, modifica e interconnessione di prova devono produrre voci di log distinte e complete; un output del modello deve portare con sé l’etichetta e i metadati, non solo il numero; una decisione con effetti negativi non deve chiudersi senza un intervento umano tracciato; e, per un trattamento ad alto rischio, deve esistere la valutazione d’impatto dell’articolo 23 — distinta da quella sui diritti fondamentali del regolamento IA, come [il Garante ha già dovuto chiarire](https://csidia.com/note-operative/garante-parere-decreto-attuativo-regolamento-ia).

## Quello che non abbiamo verificato

Abbiamo letto, sul testo vigente al 28 agosto 2026 esportato da Normattiva, gli articoli 1, 2, 4, 8, 20, 21, 23, 24, 25 e 47 del decreto, e l’articolo 72 della legge 182/2025. Non abbiamo letto gli altri articoli, né regolamenti attuativi o provvedimenti del Garante che interpretino, per un sistema di IA, il «se possibile» dell’articolo 21: se esistono, questa ricerca non li ha trovati. Non abbiamo verificato giurisprudenza, né — per il vincolo che ci diamo su ogni pezzo che tocca la sicurezza pubblica — cercato o descritto un sistema di polizia italiano specifico: qui si legge la norma, non un archivio.

## Fonti

- [Normattiva — decreto legislativo 18 maggio 2018, n. 51, testo vigente](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2018-05-18;51)
- [Normattiva — d.lgs. 51/2018, art. 21 (Registrazione)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2018-05-18;51~art21!vig=)
- [Normattiva — d.lgs. 51/2018, art. 4 (Conservazione e verifica della qualità dei dati)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2018-05-18;51~art4!vig=)
- [Normattiva — legge 2 dicembre 2025, n. 182, art. 72 (abrogazioni e soppressioni)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2025-12-02;182~art72!vig=)
- [EUR-Lex/Cellar — direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio](https://publications.europa.eu/resource/celex/32016L0680)

Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/registro-operazioni-polizia-motivi-se-possibile/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com